Plataforma
wordpress
Componente
buddyforms
Corregido en
2.8.12
El plugin Post Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) para WordPress presenta una vulnerabilidad de escalada de privilegios. Esta falla permite a atacantes autenticados, con privilegios de colaborador o superiores, elevar sus privilegios a administrador a través de la creación de formularios de registro con roles personalizados. La vulnerabilidad afecta a todas las versiones hasta la 2.8.11. Se recomienda actualizar el plugin a la última versión disponible para mitigar el riesgo.
Un atacante con acceso de colaborador o superior puede explotar esta vulnerabilidad para crear un formulario de registro que asigne el rol de administrador a nuevos usuarios. Esto les permitiría obtener control total sobre el sitio WordPress, incluyendo la capacidad de modificar contenido, instalar plugins maliciosos, acceder a datos sensibles y comprometer la seguridad general de la plataforma. La explotación exitosa de esta vulnerabilidad podría resultar en una pérdida significativa de datos, interrupción del servicio y daño a la reputación. La falta de restricciones en la asignación de roles durante el registro abre una puerta de entrada para la toma de control del sitio.
Esta vulnerabilidad ha sido publicada públicamente el 14 de septiembre de 2024. No se ha confirmado la explotación activa de esta vulnerabilidad en entornos reales, pero la disponibilidad de la vulnerabilidad y su relativa facilidad de explotación la convierten en un objetivo potencial para atacantes. Se recomienda monitorear la situación y aplicar la mitigación lo antes posible. No se ha añadido a KEV a la fecha.
WordPress websites using the Post Form plugin, particularly those with contributor-level users who have access to modify registration forms, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable.
• wordpress / composer / npm:
grep -r 'wp_set_role( ' /var/www/html/wp-content/plugins/post-form-for-user-profiles/• wordpress / composer / npm:
wp plugin list --status=inactive | grep 'post-form-for-user-profiles'• wordpress / composer / npm:
wp plugin update --alldisclosure
Estado del Exploit
EPSS
0.42% (62% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar el plugin Post Form a una versión corregida. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa del sitio antes de aplicar la actualización. Como medida temporal, se puede restringir el acceso a la creación de formularios de registro a usuarios con privilegios de administrador. Monitoree los logs del sitio WordPress en busca de intentos de creación de formularios de registro sospechosos. Después de la actualización, verifique que los roles de usuario se asignen correctamente y que no haya usuarios con privilegios de administrador no autorizados.
Actualice el plugin Post Form – Registration Form – Profile Form for User Profiles – Frontend Content Forms for User Submissions (UGC) a la versión más reciente disponible. Esto solucionará la vulnerabilidad de escalada de privilegios permitiendo que usuarios con nivel de contribuidor o superior creen formularios de registro que les permitan registrarse como administradores.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-8246 is a high-severity vulnerability in the WordPress Post Form plugin allowing authenticated contributors to escalate to administrator roles via custom registration forms.
You are affected if you are using the Post Form plugin version 2.8.11 or earlier. Check your plugin versions and upgrade immediately.
Upgrade the Post Form plugin to a version greater than 2.8.11. If immediate upgrade is not possible, restrict user roles and monitor logs.
Currently, there are no confirmed reports of active exploitation, but it is a high-severity vulnerability and should be addressed promptly.
Refer to the WordPress security announcements page for the latest information and updates regarding this vulnerability: https://wordpress.org/news/
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.